Американское агентство по кибербезопасности CISA 26 октября внесло две критические уязвимости PHP в каталог ошибок, которые уже используют злоумышленники. CVE-2026-109618 и CVE-2026-109619, известные как PHP2Shell, позволяют удалённо выполнить код без авторизации с помощью специально подготовленного запроса.
Срок устранения уязвимостей до 29 октября обязателен только для гражданских федеральных ведомств США. CISA также требует от них проверить, не был ли сервер скомпрометирован до установки исправлений.
Команда PHP выпустила исправления в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Уязвимы разные способы обработки веб-запросов с помощью PHP. Самым высоким разработчики называют риск при работе PHP как модуля веб-сервера Apache: для этой конфигурации показана атака, которая срабатывает до запуска кода веб-приложения.
PHP 8.1 и более старые ветки больше не получают штатных обновлений проекта. Для них доступны перенесённые исправления от некоторых поставщиков Linux-дистрибутивов и сервисов долгосрочной поддержки, а команда PHP также опубликовала минимальные исправления для PHP 7.4, 8.0 и 8.1.
Владельцам доступных из интернета серверов на PHP нужно установить исправленную версию. Если сделать это сразу нельзя, разработчики предлагают временно отключить отслеживание загрузки файлов в сессиях и ограничить размеры запросов, однако эти меры закрывают лишь отдельные пути атаки и не заменяют обновление.